Anexo I de la Directiva (UE) 2015/2366 (servicios de información sobre cuentas)

Directriz 1: Principios generales

1.1 Este conjunto de directrices se aplica a los solicitantes de registro como proveedores de servicios de información sobre cuentas (PSIC) que pretenden prestar sólo servicios de información sobre cuenta (SIC). Si el solicitante tiene la intención de prestar servicios adicionales a los SIC, debe solicitar autorización y remitirse a las directrices establecidas en la sección 4.1 para entidades de pago (EP).

1.2 La información proporcionada por los solicitantes debe ser verdadera, completa y precisa y estar actualizada. Todos los solicitantes deben cumplir con todas las disposiciones del conjunto de directrices que les son aplicables. El nivel de detalle requerido debe ser proporcional al tamaño del solicitante y a su organización interna, así como a la naturaleza, el alcance, la complejidad y el riesgo del servicio o servicios concretos que el solicitante se propone prestar. En cualquier caso, de conformidad con la Directiva (UE) 2015/2366, los administradores y las personas responsables de la gestión de la entidad de pago han de poseer honorabilidad, así como la experiencia y los conocimientos adecuados para la prestación de los servicios de pago, independientemente del tamaño de la entidad, de su organización interna y de la naturaleza, el alcance y la complejidad de sus actividades y de los deberes y responsabilidades del cargo específico.

1.3 Al presentar la información requerida, el solicitante debe evitar hacer referencias a secciones específicas de procedimientos/documentos internos. En su lugar, el solicitante debe extraer las secciones pertinentes y proporcionarlas a la autoridad competente (AC).

1.4 Si las AC requieren aclaraciones sobre la información que se ha presentado, el solicitante debe proporcionarlas sin demora.

1.5 Todos los datos solicitados en virtud de estas directrices para el registro como proveedores de servicios de información sobre cuentas (PSIC) son necesarios para la evaluación de la solicitud y serán tratados por la autoridad competente de conformidad con las obligaciones de secreto profesional establecidas en la PSD2, sin perjuicio de la legislación aplicable de la Unión y de los requisitos y procedimientos nacionales sobre el ejercicio del derecho de acceso, rectificación, cancelación u oposición.

Directriz 2: Datos identificativos

2.1 Si el solicitante es una persona física, los datos identificativos que debe proporcionar deben contener la siguiente información:

• a) nombre, dirección, nacionalidad y fecha y lugar de nacimiento;
• b) una copia del documento de identidad o de un documento de identificación equivalente;
• c) un currículo vitae actualizado;
• d) un certificado de antecedentes penales de no más de 3 meses de antigüedad;
• e) el nombre y apellidos de la persona o personas encargadas de tramitar el expediente de solicitud y el procedimiento de autorización y sus datos de contacto;

deben contener la siguiente información:

• a) la denominación social del solicitante y, si es diferente, su nombre comercial;
• b) una indicación de si el solicitante ya está constituido como sociedad o está en proceso de constitución;
• c) el número de identificación nacional del solicitante, si procede;
• d) el régimen jurídico del solicitante y (el borrador de) los estatutos sociales y/o la escritura de constitución que acrediten dicho régimen ;
• e) la dirección de la administración central del solicitante y su domicilio social;
• f) la dirección de correo electrónico y la página web del solicitante, si están disponibles;
• g) el nombre y apellidos de la persona o personas encargadas de tramitar el expediente de solicitud y el procedimiento de autorización y sus datos de contacto;
• h) una indicación de si el solicitante ha sido o es una entidad regulada por una autoridad competente en el sector de servicios financieros;
• i) certificación registral o, en su caso, certificación registral negativa de un registro mercantil que certifique que la denominación social solicitada por la empresa está disponible;
• j) el justificante del pago de cualquier tasa o del depósito de fondos requerido para presentar una solicitud de registro como proveedor de servicios de información sobre cuentas, cuando sea aplicable de conformidad con la legislación nacional.

Directriz 3: Programa de actividades

3.1. El programa de actividades que debe proporcionar el solicitante debe contener la siguiente información:

• a) una descripción del servicio de información sobre cuentas que se pretende prestar, incluida una explicación por parte del solicitante sobre la manera en que la actividad se ajusta a la definición de servicios de información sobre cuentas establecida en el artículo 4, apartado 16, de la Directiva (UE) 2015/2366 (PSD2);
• b) una declaración del solicitante de que en ningún momento estará en posesión de los fondos;
• c) una descripción de la prestación del servicio de información sobre cuentas, que incluya:
• i. borradores de los contratos entre todas las partes implicadas, si procede;
• ii. términos y condiciones de la prestación de los servicios de información sobre cuentas;
• iii. tiempos de procesamiento;
• d) el número estimado de locales diferentes en los que el solicitante pretende prestar los servicios, si procede;
• e) una descripción de los servicios auxiliares a los servicios de información sobre cuentas, si procede;
• f) una declaración de si el solicitante tiene intención de prestar servicios de información sobre cuentas en otro Estado miembro de la UE o terceros países una vez registrado;
• g) una indicación de si el solicitante tiene intención, durante los próximos tres años, de realizar o si ya realiza otras actividades comerciales distintas a los servicios de

2015/2366, incluida una descripción del tipo y volumen previsto de las actividades;

• h) la información especificada en las Directrices de la ABE sobre los criterios para estipular el importe monetario mínimo del seguro de responsabilidad civil profesional u otra garantía comparable en virtud del artículo 5, apartado 4, de la Directiva (UE) 2015/2366 (EBA/GL/2017/08), cuando el solicitante pretenda prestar únicamente el servicio 8 (SIC). Directriz 4: Plan de negocio

4.1. El plan de negocio que debe proporcionar el solicitante debe contener:

• a) un plan de marketing consistente en:
• i. un análisis de la posición competitiva de la empresa;
• ii. una descripción de los usuarios del servicio de información sobre cuentas en el segmento de mercado de información sobre cuentas correspondiente, las herramientas de comercialización y los canales de distribución;
• b) las cuentas anuales auditadas correspondientes a los tres años anteriores, si existen, o un resumen de la situación financiera para aquellos solicitantes que aún no hayan elaborado cuentas anuales;
• c) un cálculo de las previsiones presupuestarias para los tres primeros ejercicios que demuestre que el solicitante cuenta con sistemas, recursos y procedimientos adecuados y proporcionados que le permiten operar correctamente. El presupuesto debe incluir:
• i. la cuenta de resultados y el balance previsionales, con inclusión de escenarios objetivo y escenarios de estrés, así como sus hipótesis básicas, tales como el número de clientes, los precios y el aumento esperado del umbral de rentabilidad;
• ii. explicaciones de las principales partidas de la cuenta de resultados, de las deudas financieras y de los activos fijos;
• iii. un diagrama y un desglose detallado de los flujos de efectivo estimados para los próximos tres años.

Directriz 5: Organización estructural

5.1. Si el solicitante es una persona física, la descripción de la organización estructural de la empresa del solicitante debe contener la siguiente información:

• a) una previsión general del personal necesario para los próximos tres años;
• b) una descripción de los principales acuerdos en materia de externalización que incluya:
• i. la identidad y la ubicación geográfica del proveedor de los servicios externalizados;
• ii. la identidad de las personas del PSIC que son responsables de cada una de las actividades externalizadas;
• iii. una descripción detallada de las actividades externalizadas y sus principales características;
• c) una copia de los borradores de los acuerdos de externalización;
• d) si procede, una descripción del uso de sucursales y agentes, que incluya:
• i. una descripción detallada de los controles in situ y a distancia que el solicitante pretende realizar sobre las sucursales y los agentes;
• ii. los sistemas de TI, los procesos y la infraestructura que utilizan los agentes del solicitante para realizar actividades en nombre del solicitante;
• iii. en el caso de los agentes, la política de selección, los procedimientos de supervisión y la formación de los agentes y, en su caso, el proyecto de condiciones de contratación;
• e) una lista de todas las personas físicas o jurídicas que tengan vínculos estrechos con el PSIC solicitante, indicando su identidad y la naturaleza de dichos vínculos.

5.2. Si el solicitante es una persona jurídica, la descripción de la organización estructural de su empresa debe contener la siguiente información:

• a) un organigrama detallado que muestre cada división, departamento o separación organizativa similar, incluyendo el nombre de la persona o personas responsables, en particular de los encargados de las funciones de control interno; el organigrama debe ir acompañado de una descripción de las funciones y responsabilidades de cada división, departamento o separación organzativa similar;
• b) una previsión general del personal necesario para los próximos tres años;
• c) una descripción de los principales acuerdos en materia de externalización, que incluya:
• i. la identidad y la ubicación geográfica del proveedor de los servicios externalizados;
• ii. la identidad de las personas del PSIC que son responsables de cada una de las actividades externalizadas;
• iii. una descripción detallada de las actividades externalizadas y sus principales características;
• d) una copia de los borradores de los acuerdos de externalización;
• e) si procede, una descripción del uso de sucursales y agentes, que incluya:
• i. una descripción detallada de los controles in situ y a distancia que el solicitante pretende realizar sobre las sucursales y los agentes;
• ii. los sistemas de TI, los procesos y las infraestructuras que utilizan los agentes del solicitante para realizar actividades en nombre del solicitante;
• iii. en el caso de los agentes, la política de selección, los procedimientos de supervisión y la formación de los agentes y, en su caso, el proyecto de condiciones de contratación;
• f) una lista de todas las personas físicas o jurídicas que tengan vínculos estrechos con el solicitante, indicando su identidad y la naturaleza de dichos vínculos.

Directriz 6: Procedimientos de gobierno corporativo y mecanismos de control interno

6.1. El solicitante deberá proporcionar una descripción de los procedimientos de gobierno corporativo y de los mecanismos de control interno, que incluya:

• a) una descripción de los riesgos identificados por el solicitante, indicando el tipo de riesgos y los procedimientos que el solicitante pondrá en marcha para evaluar y prevenir tales riesgos;
• b) los diferentes procedimientos previstos para llevar a cabo controles periódicos y permanentes, incluyendo la frecuencia y los recursos humanos asignados;
• c) los procedimientos contables que utilizará el solicitante para registrar y presentar su información financiera;
• d) la identidad de la persona o personas responsables de las funciones de control interno, incluidos los responsables de los controles periódicos, permanentes y de cumplimiento, así como su currículo vitae actualizado;
• e) la identidad de cualquier auditor que no sea un auditor legal de conformidad con la Directiva 2006/43/CE;
• f) la composición del órgano de administración y, en su caso, de cualquier otro órgano o comité de supervisión;
• g) una descripción de la forma en que se supervisan y controlan las funciones externalizadas a fin de evitar un deterioro de la calidad de los controles internos del solicitante;
• h) una descripción de la forma de supervisión y control de los agentes y sucursales en el marco de los controles internos del solicitante;
• i) cuando el solicitante sea filial de una entidad regulada en otro Estado miembro de la UE, una descripción de la gobernanza del grupo.

Directriz 7: Procedimiento para la supervisión, la tramitación y el seguimiento de los incidentes de seguridad y de las quejas y reclamaciones de los clientes relacionadas con la seguridad

7.1. El solicitante debe proporcionar una descripción del procedimiento establecido para supervisar, tramitar y dar seguimiento a los incidentes de seguridad y las quejas y reclamaciones de los clientes relacionadas con la seguridad, que deberá contener:

• a) medidas organizativas y herramientas para la prevención del fraude;
• b) detalle de las personas y órganos encargados de prestar asistencia a los clientes en caso de fraude, cuestiones técnicas y/o gestión de quejas y reclamaciones;
• c) líneas jerárquicas de información en caso de fraude;
• d) el punto de contacto para los clientes, indicando un nombre y una dirección de correo electrónico;
• e) los procedimientos para la notificación de incidentes, incluida su comunicación a órganos internos o externos, incluida la notificación de incidentes graves a las autoridades nacionales competentes de conformidad con el artículo 96 de la PSD2, y de conformidad con las directrices de la ABE sobre notificación de incidentes en virtud del mencionado artículo.
• f) las herramientas de supervisión utilizadas y las medidas y procedimientos de seguimiento adoptados para mitigar los riesgos de seguridad.

Directriz 8: Proceso de registro, supervisión, seguimiento y restricción del acceso a datos de pago sensibles

8.1. El solicitante debe proporcionar una descripción del proceso establecido para registrar, supervisar, dar seguimiento y restringir el acceso a los datos de pago sensibles consistente en:

• a) una descripción del flujo de datos clasificados como datos de pago sensibles en el contexto del modelo de negocio del PSIC;
• b) los procedimientos establecidos para autorizar el acceso a datos de pago sensibles;
• c) una descripción de la herramienta de supervisión;
• d) la política de derechos de acceso, que detalle el acceso a todos los componentes y sistemas de infraestructura pertinentes, incluidas las bases de datos y las infraestructuras de soporte;
• e) una descripción de cómo se registran los datos recopilados;
• f) el uso interno y/o externo previsto de los datos recopilados, incluido el uso por parte de las contrapartes;
• g) el sistema informático y las medidas técnicas de seguridad que se hayan implantado, incluido el cifrado y/o la tokenización;
• h) identificación de las personas, órganos y/o comités con acceso a los datos de pago sensibles;
• i) una explicación de cómo se detectarán y abordarán las infracciones;
• j) un programa anual de control interno en relación con la seguridad de los sistemas de TI.

Directriz 9: Mecanismos que garantizan la continuidad de la actividad

9.1. El solicitante debe proporcionar una descripción de los mecanismos que garantizan continuidad de la actividad, que incluya la siguiente información:

• a) un análisis de impacto en el negocio, que incluya los procesos de negocio y objetivos de restauración, tales como objetivos de tiempo de restauración, objetivos de punto de restauración y activos protegidos;
• b) la identificación del sitio donde estén alojados los respaldos ( back-up sites ), el acceso a la infraestructura de TI y el software y datos clave para recuperarse de un desastre o interrupción;
• c) una explicación de cómo el solicitante gestionará eventos de continuidad e interrupciones significativas, como el fallo de sistemas clave; la pérdida de datos clave; la inaccesibilidad a instalaciones; y la pérdida de personas clave;
• d) la frecuencia con que el solicitante tiene la intención de probar los planes de continuidad del negocio y de recuperación frente a desastres, incluyendo cómo se conservarán los resultados de las pruebas.

Directriz 10: Documento relativo a la política de seguridad

10.1. El solicitante debe proporcionar un documento relativo a la política de seguridad que contenga la siguiente información:

• a) una evaluación detallada de los riesgos del servicio o los servicios de pago que el solicitante pretende prestar, que incluya los riesgos de fraude y las medidas de mitigación y de control de seguridad adoptadas para proteger adecuadamente a los usuarios de los servicios de pago frente a los riesgos identificados;
• b) una descripción de los sistemas de TI, que incluya:
• i. la arquitectura de los sistemas y sus elementos de red;
• ii. los sistemas de TI de la empresa que dan soporte a las actividades del negocio, como el sitio web del solicitante, el motor de gestión de riesgos y fraudes y la contabilidad de los clientes;
• iii. los sistemas de TI de apoyo utilizados para la organización y la administración del PSIC, tales como contabilidad, sistemas de remisión de información prevista en la legislación, gestión de personal, gestión de relaciones con los clientes, servidores de correo electrónico y servidores de archivos internos;
• iv. información sobre si dichos sistemas ya son utilizados o no por el PSIC o su grupo, y la fecha estimada de puesta en marcha, si procede;
• c) el tipo de conexiones autorizadas desde el exterior, tales como con socios, proveedores de servicios, entidades del grupo y empleados que trabajan a distancia, incluyendo la justificación de tales conexiones;
• d) para cada una de las conexiones enumeradas en el punto c), las medidas y los mecanismos de seguridad lógica, especificando el control que la entidad de pago tendrá sobre dicho acceso, así como la naturaleza y la frecuencia de cada control, como por ejemplo técnico frente a organizacional; preventivo frente a de detección; y supervisión en tiempo real frente a revisiones regulares, como el uso de un directorio activo separado del grupo, la apertura/cierre de líneas de comunicación, configuración del equipo de seguridad, generación de claves o certificados de autenticación de clientes, supervisión de sistemas, autenticación, confidencialidad de la comunicación, detección de intrusiones, sistemas antivirus y registros;
• e) las medidas y los mecanismos de seguridad lógica que rigen el acceso interno a los sistemas de TI, los cuales deben incluir:
• i. la naturaleza técnica y organizativa y la frecuencia de cada medida, por ejemplo, si es preventiva o de detección y si se realiza o no en tiempo real;
• ii. cómo se aborda la cuestión de la segregación del entorno del cliente en los casos en que los recursos de TI del solicitante son compartidos;
• f) las medidas y mecanismos de seguridad física de las instalaciones y el centro de datos del solicitante, tales como los controles de acceso y la seguridad del entorno;
• g) la seguridad de los procesos de pago, que debe incluir:
• i. el procedimiento de autenticación del cliente utilizado para el acceso a efectos tanto de consultas como de transacciones;
• ii. una explicación de cómo se garantiza la entrega segura al usuario legítimo del servicio de pago y la integridad de los factores de autenticación, tales como tokens de hardware y aplicaciones móviles, en el momento de la captación inicial y la renovación;
• iii. una descripción de los sistemas y procedimientos que el solicitante aplica para el análisis de transacciones y la identificación de transacciones sospechosas o inusuales.
• h) una evaluación detallada del riesgo relacionado con sus servicios de pago, incluido el fraude, vinculándolo con las medidas de control y mitigación explicadas en el expediente de solicitud, que demuestre que se abordan los riesgos;
• i) una lista de los principales procedimientos escritos en relación con los sistemas de TI del solicitante o, para los procedimientos aún no formalizados, una fecha estimada para su finalización.

Directriz 11: Identidad y evaluación de idoneidad de los administradores y personas responsables de la gestión del proveedor de servicios de información sobre cuentas

11.1. En relación con la identidad y la evaluación de idoneidad de los administradores y los responsables de la gestión del proveedor de servicios de información sobre cuentas, el solicitante deberá proporcionar la siguiente información:

• a) datos personales, que deben incluir:
• i. el nombre completo, sexo, lugar y fecha de nacimiento, dirección y nacionalidad, y número de identificación personal o copia del documento de identidad o equivalente;
• ii. detalles del cargo para el que se solicita la evaluación, y si el cargo en el órgano de administración es o no ejecutivo. También se debe incluir la siguiente información:

• b) en su caso, información sobre la evaluación de idoneidad realizada por el solicitante, que incluya detalles del resultado de cualquier evaluación de la idoneidad del individuo realizada por la entidad, como actas pertinentes del consejo de administración o informes de evaluación de idoneidad u otros documentos;
• c) pruebas de conocimientos, aptitudes y experiencia, que deben incluir un currículo vitae que contenga detalles de la formación y la experiencia profesional, incluidas las titulaciones académicas, otra formación relevante, el nombre y la naturaleza de todas las organizaciones para las que trabaja o ha trabajado la persona y la naturaleza y duración de las funciones desempeñadas, destacando en particular cualquier actividad dentro del ámbito del cargo que se va a ocupar;
• d) prueba de reputación, honestidad e integridad, que debe incluir:
• i. certificado de antecedentes penales e información relevante sobre investigaciones y procedimientos penales, casos civiles y administrativos relevantes y medidas disciplinarias, incluida la inhabilitación como administrador de una empresa, quiebra, insolvencia y procedimientos similares, en concreto mediante un certificado oficial o cualquier fuente de información objetivamente fiable que acredite la ausencia de condenas, investigaciones y procedimientos penales, como investigaciones y testimonios realizados por un abogado o un notario externo establecido en la Unión Europea;
• ii. una declaración sobre la existencia o ausencia de procedimientos penales pendientes o sobre si la persona o alguna organización dirigida por ella ha estado involucrada como deudor en procedimientos de insolvencia o similares.
• iii. Información sobre lo siguiente:

Directriz 12: Seguro de responsabilidad civil profesional o una garantía comparable

12.1. Como prueba de un seguro de responsabilidad civil profesional o de una garantía comparable que cumpla con las Directrices de la ABE sobre el seguro de responsabilidad civil profesional (EBA/GL/2017/08) y el artículo 5, apartados 2 y 3, de la PSD2, el solicitante debe proporcionar la siguiente información:

• a) un contrato de seguro u otro documento equivalente que confirme la existencia de un seguro de responsabilidad civil profesional o de una garantía comparable, con un importe de la cobertura que cumpla con las mencionadas Directrices de la ABE, y que muestre la cobertura de la responsabilidad pertinente;
• b) documentación de cómo el solicitante ha calculado el importe mínimo de una manera que cumpla con las Directrices de la ABE mencionadas, que incluya todos los componentes aplicables de la fórmula especificada en las mismas.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/